重大なAndroidの脆弱性により、わずか3秒で暗号資産のシードフレーズが盗まれる可能性

Ledgerの社内セキュリティラボは、AndroidのWebViewコンポーネントにゼロデイ脆弱性を発見したことを公表しました。この脆弱性により、悪意のあるバックグラウンドアプリケーションが、ソフトウェアウォレットから24語のリカバリーシードフレーズを3秒以内に抽出できます。

攻撃の仕組み

Ledger Donjonの研究者によってMemory-Mirrorと名付けられたこの脆弱性は、アプリケーション内でWebコンテンツをレンダリングするコンポーネントであるAndroid System WebViewのバグを悪用します。バックグラウンドで実行される悪意のあるアプリは、ウォレットアプリケーションのプライベートメモリスペースの内容を、通常のサンドボックス境界外からアクセス可能な共有キャッシュにミラーリングするメモリリークを引き起こす可能性があります。

Androidのサンドボックスアーキテクチャは、デバイス上の各アプリケーションのメモリを他のアプリケーションから分離するように設計されています。Memory-Mirrorは、作成が難しくない特定の条件下でこの分離を回避します。侵害されたアプリケーションがバックグラウンドで実行されている間に、ユーザーがソフトウェアウォレットにシードフレーズを入力すると、シードは入力から3秒以内に共有キャッシュから抽出可能になります。ユーザーは何も異常を見ません。ウォレットアプリケーションは正常に動作します。シードは盗まれています。

この攻撃には、悪意のあるアプリケーションがデバイスに既にインストールされている必要がありますが、アプリストアのレビュープロセスを通過する不正アプリケーションの量や、暗号資産コミュニティにおけるサイドロードされたAPKファイルの普及を考えると、ハードルはかなり低くなります。

影響範囲

Ledger Donjonの推定によると、バージョン12から15を実行しているAndroidデバイスの70%以上が、2026年3月のセキュリティパッチなしでは脆弱な状態のままです。Googleは3月5日からPixelデバイスへの修正プログラムの展開を開始しました。SamsungとXiaomiのパッチは3月下旬までに提供される予定です。.0326で終わるビルドバージョンを受け取っていないすべてのAndroidデバイスは、現在影響を受けやすい状態です。

本日早くに公開されたCoinGeckoのホットウォレットランキングでは、Trust Walletが世界第1位、MetaMaskが第2位にランクされました。両方のウォレットは、デバイスのパッチ状態が確認できるまで、Android上のシード経由のインポート機能を一時的に無効にしています。同じリストの第4位にあるPhantomも同様に影響を受けています。世界で最も人気のある3つのノンカストディアルモバイルウォレットは、ユーザーの大多数がアクセスするプラットフォーム上でシードインポート機能を停止しました。

直ちに行うべきこと

ソフトウェアウォレットで暗号資産を保有しているAndroidユーザーは、2026年3月のセキュリティアップデートを直ちに確認する必要があります。設定に移動し、セキュリティまたはシステム、次にソフトウェアアップデートに進み、ビルドバージョンが.0326で終わっていることを確認してください。デバイスメーカーからアップデートがまだ利用できない場合は、それまでシード入力の目的でデバイスが侵害されているものとして扱ってください。

Ledgerの推奨事項はパッチ適用を超えています。どのソフトウェアウォレットのモバイルキーボードにリカバリーシードを入力することも、Memory-Mirrorとは独立して存在する固有のリスクを伴います。キーボード自体、クリップボードマネージャー、画面録画アプリケーションはすべて、ハードウェアウォレットが設計上排除する潜在的な抽出ベクトルを表しています。Ledger NanoおよびStaxデバイスは、シードフレーズがデバイスのSecure Elementチップから離れることがなく、いかなる時点でもAndroidオペレーティングシステムに公開されないため、Memory-Mirrorの影響を受けません。

昨日この出版物で取り上げられたTrust Walletのアドレスポイズニング防止機能は、トランザクションレイヤーでの1つの攻撃ベクトルからユーザーを守りました。Memory-Mirrorは根本的により深いレベルで動作し、単一のトランザクションではなくシード自体を標的にします。侵害されたシードは、それから派生するすべてのウォレット、すべてのチェーン、すべての資産を永久に侵害します。

デバイスをアップデートしてください。パッチのインストールが確認されるまで、モバイルでシードフレーズを入力しないでください。

Critical Android Vulnerability Can Steal Your Crypto Seed Phrase in 3 Secondsの記事は、ETHNewsに最初に掲載されました。